Bedrohungen bleiben auf hohem Niveau, aber neue Ansätze können helfen.

Quelle: Veracode (c)

Bereits seit 2009 veröffentlicht der Anwendungssicherheitsspezialist Veracode jedes Jahr seinen State of Software Security (SoSS) Report. Zur zehnjährigen Ausgabe liegt es da natürlich nahe, einen Vergleich zu ziehen und einen Blick auf die Entwicklungen in der letzten Dekade zu werfen. Zunächst fällt auf, dass die Stichprobengröße enorm angewachsen ist. Wurden 2009 rund 1.600 Anwendungen untersucht, waren es in diesem Jahr bereits 85.000. Das entspricht einer Steigerung um mehr als den Faktor 50. Bei der Analyse der Ergebnisse und dem Vergleich mit den alten Daten traten die folgenden vier Aspekte als besonders interessant hervor:

Mehr Schwachstellen

Im ersten SoSS-Report von 2009 wiesen 72 Prozent der Anwendungen mindestens einen Fehler auf. Im aktuellen Report ist diese Zahl auf 83 Prozent gestiegen. Das heißt, aktuell ist nur jede fünfte Anwendung fehlerfrei. Allerdings ist zu bedenken, dass für den Report 2019 wesentlich mehr Anwendungen aus verschiedenen Bereichen getestet wurden und sich die Testmethoden und Funktionalitäten ebenfalls verbessert haben.

Weniger gravierende Funde

Für eine allgemeine Verbesserung der Anwendungssicherheit spricht, dass 2009 noch in 34 Prozent der untersuchten Software schwerwiegende Defizite aufgedeckt wurden, 2019 jedoch nur noch in 20 Prozent. Auch die OWASP-Compliance der untersuchten Apps hat sich verbessert. Vor zehn Jahren erreichten nur 23 Prozent diese Anforderungen, heute sind es immerhin 32 Prozent.

Behebung dauert oft länger

Durchschnittlich dauerte es 2009 59 Tage, um Schwachstellen in Anwendungen zu beheben. Der aktuelle Report verzeichnet dafür hingegen 171 Tage. Interessant ist, dass der Median bei 59 Tagen verblieben ist. So gesehen haben sich die Fixraten in den letzten zehn Jahren nicht verschlechtert, jedoch ist die Sicherheitsverschuldung – also die wachsende Anzahl an nicht behobenen Fehlern – angestiegen. Dahinter steckt sicherlich auch die immer weiterwachsende Komplexität moderner Anwendungen und damit einhergehende Notwendigkeit öfter Software-Sicherheitstests durchzuführen.

DevSecOps zahlt sich aus

Im Jahr 2009 hat der Begriff DevOps und die Bewegung dahinter erst langsam angefangen sich zu entwickeln. Von DevSecOps war damals natürlich noch keine Rede. Folglich fand dieser Ansatz im Report von 2009 noch keine Berücksichtigung. Mittlerweile sind allerdings beide Begriffe in der IT-Welt fest etabliert und DevSecOps hat sich als ein zentraler Treiber für die Behebung von Schwachstellen in den Analysen der zehnten Ausgabe des SoSS-Reports ergeben. Dabei zeigt sich ein Zusammenhang zwischen der Häufigkeit von Tests und der Zeitspanne, in der Fehler behoben werden. Bei Anwendungen, die nur ein- bis 12 Mal pro Jahr gescannt werden, liegt die durchschnittliche Bearbeitungszeit bei 68 Tagen. Werden Anwendungen 13 bis 52 Mal pro Jahr überprüft, sinkt die Bearbeitungszeit auf 59 Tage. Wenn Teams allerdings täglich – oder fast täglich – Scans durchführen, stinkt diese Zeitspanne auf nur 19 Tage. Daraus ergibt sich, dass Teams durch die im Rahmen der von DevSecOps geforderten häufigen Tests, Schwachstellen wesentlich schneller finden und beheben können.

Fazit

Anwendungen werden immer komplexer und müssen immer häufiger an Kundenwünsche angepasst werden. Die Geschwindigkeit in der Entwicklung und unzureichende Sicherheitstrainings für Entwickler führen auch zu einem höheren Risiko für Schwachstellen im Code. So verwundert es nicht, dass die meisten Apps Fehler beinhalten. Das ist auch kein Problem, sofern sie rechtzeitig gefunden werden. Gründliches und häufiges Scannen über den gesamten Zyklus der Software-Entwicklung ist für Entwickler entscheidend, um Schwachstellen zu finden und diese während der Entwicklung effizient zu beheben. Denn tatsächlich reduziert ein DevSecOps-Ansatz die durchschnittliche Zeitspanne, um fehlerhafte Anwendungen zu reparieren, um 72 Prozent. Unternehmen müssen das gemeinsame Ziel verfolgen, sichere Produkte zu entwerfen. Unter anderem dabei kann eine Application Security Platform helfen.

67 Artikel zu „Anwendungssicherheit“

TRENDS 2019 | TRENDS SECURITY | NEWS | IT-SECURITY

Finanzsektor auf dem vorletzten Platz bei Anwendungssicherheit

3. März 2019

67 Prozent aller Finanzanwendungen stellen Risiko dar. Finanzdaten hochattraktives Ziel für Cyberkriminelle. Banken und andere Finanzinstitutionen haben den Ruf, aufgrund der sensiblen Finanzinformationen, die sie verarbeiten, über ausgereifte Sicherheitsmaßnahmen zu verfügen. Allerdings zeigt der jüngste »State of Software Security Report« von Veracode, dass der Finanzsektor ebenso mit Sicherheit zu kämpfen hat, wie andere Branchen.…